https://yuj1osm.hatenablog.com/entry/2025/01/12/163136

概要

以前、「Change Managerによる変更管理と本番アクセス統制」の7編に渡る記事を執筆しました。
今回は、その中で紹介した Change Manager のテンプレートと定期チェック用 Lambda 関数のソースコードを公開しましたので、その利用方法を解説します。

アーキテクチャは以下に示す通りで、ハイライトされた部分がハンズオンのスコープです。

テンプレートとソースコードは以下のGitHubにあります。

github.com

システム実装

ドキュメント作成

Systems Managerのドキュメント画面を開き、「ドキュメントの作成」→「オートメーション」をクリックします。

「コード」をクリックします。

「AddUserToGroup-automation.yaml」のコードを貼り付け、任意の名前を付けます。
ここでは、ファイル名の「AddUserToGroup-automation」と名前を付けます。
コード内の Account ID にはAWSアカウントIDを入力します。

「ランブックを作成」をクリックするとドキュメントが作成されます。

「RemoveUserFromGroup-automation.yaml」も同様に作成します。

以上で2つのドキュメントが作成できました。

テンプレート作成

続いて、System ManagerのChange Manager画面を開き、「テンプレートを作成」をクリックします。

「エディタ」をクリックします。

「AddUserToGroup-template.yaml」のコードを貼り付け、任意の名前を付けます。
ここでは、ファイル名の「AddUserToGroup-template」と名前を付けます。

「保存してプレビュー」をクリックするとテンプレートが作成されるので、「レビューのために送信」をクリックします。

「RemoveUserFromGroup-template.yaml」も同様に作成します。

自己承認はできないため、他の権限のあるユーザで「承認」をクリックします。

「RemoveUserFromGroup-template」も同様に承認します。

テンプレートのステータスが承認済みになり、使えるようになります。

Lambda関数作成

最後に、定期的にIAMユーザのタグを確認し、TTL切れのユーザをグループから強制離脱させるためのLambda関数を作成します。
任意の名前を付け、ランタイムはPythonの最新版を使います。
ここでは、ファイル名の「jump-chengemanager-lambda-checkgroup」と名前を付け、ランタイムは「Python 3.13」を指定します。

「jump-chengemanager-lambda-checkgroup.py」のコードを貼り付けてデプロイします。

「一般設定」でタイムアウトを「1分」に変更します。

「アクセス権限」でロール名をクリックし、ロールに権限を追加します。

ロールに「AmazonSNSFullAccess」とIAMチェック用のポリシーを追加します。

IAMチェック用のポリシーは以下の通り。
AccountID は自身のAWSアカウントIDを入力します。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "VisualEditor0",
            "Effect": "Allow",
            "Action": [
                "iam:UntagUser",
                "iam:RemoveUserFromGroup",
                "iam:ListUserTags"
            ],
            "Resource": [
                "arn:aws:iam::<AccountID>:group/*",
                "arn:aws:iam::<AccountID>:user/*"
            ]
        },
        {
            "Sid": "VisualEditor1",
            "Effect": "Allow",
            "Action": "iam:ListUsers",
            "Resource": "*"
        }
    ]
}